🇰🇷 한글 설명
Dify 1.14.2 미만 버전에서 인증된 편집자 사용자가 테넌트 소유권에 관계없이 모든 애플리케이션의 트레이스 설정을 설정하고 활성화할 수 있는 권한 우회 취약점이 존재합니다. 공격자는 테넌트 소유권 확인이 누락된 엔드포인트를 악용하여 피해 애플리케이션의 모든 메시지와 응답을 공격자가 제어하는 LLM 트레이스 제공자로 리다이렉션할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 권한이 없는 다른 사람의 앱 설정까지 마음대로 바꿀 수 있는 보안 결함입니다. 이를 통해 다른 사용자가 주고받는 대화 내용을 공격자의 서버로 몰래 빼돌릴 수 있습니다.
🇺🇸 원문 (English)
Dify before version 1.14.2 contains an authorization bypass vulnerability that allows authenticated editor users to set and enable trace configurations for any application regardless of tenant ownership. Attackers can exploit missing tenant ownership checks in the trace configuration endpoints to redirect all messages and responses from victim applications to attacker-controlled LLM trace providers. NOTE: Dify Cloud allows unauthenticated free self-registration, making account creation trivially accessible to any attacker.
📍 영향받는 시스템
Dify version < 1.14.2
⚔️ 공격 벡터
인증된 편집자 계정을 이용해 테넌트 소유권 검증이 없는 트레이스 설정 엔드포인트에 요청을 전송
🛡️ 대응 방법
Dify를 최신 버전인 1.14.2 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 1.14.2보다 낮으면 취약한 상태이며, 1.14.2 이상이면 안전합니다.
curl -s http://<dify-host>/api/v1/version | grep -E '1.14.2'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
LangGenius 제품 보안 업데이트 권고
P4
📅 2026-06-24 · sec_notice
LangGenius의 Dify 제품에서 권한 우회 및 경로 탐색 취약점이 발견되었습니다. 해당 제품의 구버전을 사용하는 사용자는 보안 업데이트를 통해 최신 버전(1.14.2 이상 또는 최신 소스 빌드)으로 업데이트해야 합니다.